2026.08.03

ランサムウェア対策、何をすべき？企業の被害を防ぐ予防策と事後対応

経営リスクナビ編集部

ランサムウェア対策は、今や全ての企業にとって避けて通れない経営課題です。万が一攻撃を受ければ、事業停止や情報漏えいなど、深刻な事態に発展しかねません。被害を未然に防ぐには、技術的な備えと組織的な体制構築の両輪が不可欠です。この記事では、ランサムウェアの概要から具体的な予防策、そして感染してしまった場合の対処フローまでを網羅的に解説します。

ランサムウェアの概要と企業リスク
企業の予防策【技術編】
企業の予防策【組織編】
感染発覚時の対処フロー
ランサムウェア対策のよくある質問
まとめ：ランサムウェア被害を防ぐための網羅的対策と事後対応

ランサムウェアの概要と企業リスク

ランサムウェアとは何か？

ランサムウェアとは、企業が保有するデータを不正に暗号化し、その復号（元に戻すこと）と引き換えに身代金（Ransom）を要求する悪意のあるソフトウェア（Malware）です。感染した端末やサーバーのファイルが使用不能になるため、企業の事業継続に深刻な支障をきたします。近年では、データを暗号化するだけでなく、事前に窃取した機密情報をインターネット上で公開すると脅迫し、金銭を二重に要求する「二重脅迫」の手口が主流です。このため、ランサムウェアは単なるシステム障害ではなく、企業の存続を揺るがす重大な経営リスクとして認識する必要があります。

企業が受ける具体的な被害

企業がランサムウェアの被害に遭うと、事業停止による直接的な損害から、社会的な信用の失墜に至るまで、多岐にわたる深刻な影響を受けます。製造業の工場が操業を停止したり、医療機関で電子カルテが閲覧できずに救急患者の受け入れを止めたりといった事例が実際に発生しています。

ランサムウェアによる主な被害

事業停止による逸失利益: 基幹システムが停止し、生産、販売、物流などの業務が遂行できなくなることで生じる売上機会の損失。
高額な復旧費用: システムの調査、復旧、再構築にかかる技術的な費用や、専門家へのコンサルティング費用。
情報漏えいによる損害賠償: 窃取された個人情報や取引先の機密情報に対する法的な賠償責任や見舞金の支払い。
社会的な信用の失墜: 顧客や取引先からの信頼を損ない、ブランドイメージが低下することで生じる長期的なビジネスへの悪影響。

これらの損害は、企業の財務基盤を悪化させるだけでなく、ステークホルダーとの関係を長期にわたって損なう結果を招きます。

主な感染経路と近年の手口

ランサムウェアの主な感染経路は、テレワークの普及で利用が拡大したVPN機器などの外部接続機器の脆弱性や、従業員の心理的な隙を突くフィッシングメールです。警察庁の報告によれば、これらの経路が被害の多くを占めています。

主な感染経路

VPN機器の脆弱性: 修正プログラムが適用されていない外部接続用の機器を経由した侵入。
リモートデスクトップ(RDP): 外部から遠隔操作するために公開された機能への不正アクセス。
フィッシングメール: 取引先や公的機関を装ったメールの添付ファイルやリンクからの感染。

近年は、不特定多数を狙う手口から、特定の企業を入念に調査し、確実に金銭を窃取しようとする組織的かつ巧妙な「標的型攻撃」へと進化しています。攻撃者はネットワークに深く潜伏して管理者権限を奪い、バックアップを含めてシステム全体を破壊するなど、より悪質化しています。また、攻撃ツールがサービスとして提供されるビジネスモデル（RaaS）も確立され、高度な攻撃が容易に実行できる環境が整っています。

企業の予防策【技術編】

OS・ソフトウェアの脆弱性管理

企業は、使用している全てのシステムやソフトウェアに存在するセキュリティ上の欠陥（脆弱性）を管理し、常に最新の状態に保つ必要があります。攻撃者の多くは、公開済みの脆弱性を悪用して社内ネットワークへの侵入を試みるため、迅速な対応が不可欠です。

脆弱性管理のポイント

修正プログラムの適用: 開発元から提供される修正プログラム（パッチ）を速やかに適用する。
IT資産の把握: 社内で利用している全ての機器やソフトウェアを網羅的に把握し、管理対象から漏れがないようにする。
サポート終了製品の排除: メーカーのサポートが終了したOSやソフトウェアは脆弱性が放置されるため、使用を中止する。

脆弱性という「システムの隙」を放置することは、攻撃者に侵入の扉を開いているのと同じです。これを確実に塞ぐことが、技術的対策の基本となります。

セキュリティソフトの導入と運用

従来のウイルス対策ソフトだけでは、巧妙化するランサムウェアの侵入を完全に防ぐことは困難です。そのため、侵入されることを前提とし、脅威を早期に検知して対応するための多層的な防御策が求められます。

侵入を前提としたセキュリティ対策

EDR (Endpoint Detection and Response): PCやサーバーの操作を監視し、不審な挙動を検知して管理者に通知・隔離する仕組み。
SOC/MDRサービス: 高度な専門家が24時間365日体制でネットワークや端末を監視し、脅威の検知・分析・対応を代行するサービス。

これらの対策により、万が一攻撃者がネットワーク内に侵入しても、ファイルが暗号化される前や被害が拡大する前に脅威を封じ込める可能性が高まります。

データの定期的なバックアップ

ランサムウェアによってデータが暗号化された場合の事業継続の要は、安全なバックアップデータからの復旧です。しかし、攻撃者はバックアップデータごと破壊しようとするため、保管方法には細心の注意が必要です。

安全なバックアップ運用の原則

3-2-1ルールの遵守: データを3つ以上作成し、2種類以上の異なる媒体に保存し、そのうち1つはネットワークから隔離された遠隔地（オフライン）に保管する。
オフライン保管の徹底: バックアップ媒体をネットワークから物理的に切り離して保管する。
イミュータブルストレージの活用: 一定期間、データの変更や削除が不可能な設定ができるストレージを利用する。
復旧テストの実施: 定期的にバックアップからデータを復元するテストを行い、いざという時に確実に復旧できることを確認する。

攻撃者の手が届かない場所にデータを保管することが、事業継続性を担保する最後の砦となります。

企業の予防策【組織編】

従業員へのセキュリティ教育

技術的な対策を強化しても、それを利用する従業員のセキュリティ意識が低ければ、攻撃の侵入を許してしまいます。全従業員に対する継続的な教育が極めて重要です。

セキュリティ教育のポイント

基本動作の徹底: 心当たりのないメールの添付ファイルやリンクを安易に開かないという基本ルールを徹底する。
標的型メール訓練の実施: 実際の攻撃を模した訓練メールを定期的に送り、従業員の対応力を実践的に向上させる。
インシデント発生時の報告ルール: 不審な操作をしてしまった場合に、罰則を恐れず速やかに情報システム部門へ報告できるルールと企業風土を醸成する。

従業員一人ひとりがセキュリティ対策の当事者であるという意識を持つことが、組織全体の防御力を高めます。

アクセス権限の最小化ルール

従業員や外部委託先には、業務に必要な最低限のシステムアクセス権限のみを付与する「最小権限の原則」を徹底します。過剰な権限を持つアカウントが攻撃者に乗っ取られると、被害がネットワーク全体に及ぶ危険性が高まるためです。

アクセス権限管理の基本ルール

権限の最小化: 各アカウントには、担当業務の遂行に不可欠な情報やシステムにのみアクセスできる権限を与える。
特権アカウントの厳格な管理: システム全体を操作できる管理者権限は、日常業務では使用せず、必要な場合に限定して利用する。
不要アカウントの即時無効化: 退職者や契約が終了した委託先のアカウントは、速やかに無効化または削除する。
ネットワークの分割: 機密情報を扱うサーバー群を他の業務システムからネットワーク的に分離し、万が一侵入されても被害の拡大を抑える。

パスワードポリシーと多要素認証

推測されにくい複雑なパスワードの設定を義務付けると共に、複数の認証要素を組み合わせる多要素認証（MFA）の導入が不可欠です。特に、社外からシステムへ接続する際は、IDとパスワードだけの認証では極めて危険です。

認証を強化するための対策

複雑なパスワードの設定: 一定の長さ以上で、英大文字、小文字、数字、記号を組み合わせたパスワードを強制する。
パスワードの使い回し禁止: 他のサービスと同じパスワードを業務システムで利用することを禁止する。
多要素認証（MFA）の導入: パスワード（知識情報）に加え、スマートフォンアプリへの通知（所持情報）や指紋認証（生体情報）などを組み合わせた認証を必須とする。

認証の壁を厚くすることが、不正アクセスを防ぐための直接的かつ効果的な対策です。

サプライチェーン全体で考えるランサムウェア対策

自社の対策を強化するだけでなく、取引先や業務委託先といったサプライチェーン全体でセキュリティレベルを向上させる視点が必要です。近年、セキュリティ対策が手薄な関連会社を踏み台にして、標的である大企業へ侵入する「サプライチェーン攻撃」が増加しています。

サプライチェーンにおけるセキュリティ対策

取引先のセキュリティ評価: 新規取引を開始する際、相手方の情報管理体制が自社の基準を満たしているかを確認する。
契約によるセキュリティ要件の明記: 契約書で遵守すべきセキュリティ対策やインシデント発生時の責任範囲を明確に定める。
定期的な対策状況の確認: 取引開始後も、定期的にセキュリティ対策の状況を監査・評価する仕組みを導入する。

自社だけが安全でも不十分であり、供給網を構成する全ての組織が連携して防御水準を高めることが求められます。

サイバー保険の活用と注意点

ランサムウェア被害による経済的損失に備え、サイバー保険に加入して財務的なリスクを軽減することは有効な選択肢です。ただし、保険は万能ではなく、あくまで予防策を補完する位置づけと理解する必要があります。

サイバー保険の主な補償対象

調査・復旧費用: 攻撃の原因調査やシステムの復旧作業にかかる専門家への支払い。
事業中断損失: システム停止によって生じた逸失利益や営業継続費用。
損害賠償: 情報漏えいによる第三者への賠償金や訴訟対応費用。

重要な注意点として、攻撃者に支払う身代金そのものは、犯罪を助長する恐れがあるため、原則として保険の補償対象外です。保険はあくまで事後対応の資金を確保する手段であり、日頃のセキュリティ対策とセットで検討すべきです。

感染発覚時の対処フロー

初動対応：ネットワークからの隔離

ランサムウェアの感染を検知したら、被害の拡大を防ぐため、感染が疑われる端末を直ちにネットワークから切り離すことが最優先です。パニックにならず、定められた手順に従って冷静に行動することが求められます。

ネットワーク隔離の基本手順

感染が疑われる端末のLANケーブルを物理的に抜く、またはWi-Fiを無効にする。
攻撃の痕跡を保全するため、端末の電源は切らず、再起動もしない。
速やかに情報システム部門やセキュリティ担当窓口（CSIRT）へ報告する。
担当部門は被害範囲を特定し、関連するネットワーク全体を遮断する。

この迅速な初動対応が、被害を最小限に食い止めるための鍵となります。

被害範囲の特定と状況把握

ネットワークの隔離後、被害の全体像を正確に把握するための調査を開始します。適切な復旧計画を立て、関係各所へ正確な報告を行うためには、客観的な事実に基づいた状況把握が不可欠です。

被害状況の主な調査項目

影響範囲の特定: どのサーバーや端末の、どのデータが暗号化されたかを特定する。
侵入経路の解明: システムのログを分析し、攻撃者がどこから侵入し、どのような活動を行ったかを追跡する。
情報漏えいの有無: 外部のサーバーへ大量のデータが送信された形跡がないかを確認し、情報窃取の事実を調査する。
ランサムウェアの種類の特定: 画面に表示された脅迫文やファイルの拡張子から、攻撃グループやランサムウェアの種類を特定する。

外部専門家や警察への相談

自社のみでの対応には限界があるため、インシデント対応の専門家や警察へ速やかに相談し、協力を仰ぐことが重要です。専門的な知見を活用することで、より迅速かつ適切な事態の収拾が期待できます。

相談先	主な役割・メリット
セキュリティ専門企業	フォレンジック調査による詳細な被害分析、攻撃手法の特定、安全な復旧計画の策定支援。
警察（サイバー犯罪相談窓口）	犯罪捜査、類似事例に関する情報提供、復号ツールに関する助言、公的機関との連携による信頼性確保。
弁護士	法的対応の助言、個人情報保護委員会など監督官庁への報告義務の確認、対外的な情報開示のレビュー。

主な外部相談先とその役割

問題を一人で抱え込まず、外部の専門知識を積極的に活用することが、解決への近道となります。

システム復旧とBCPの発動

被害状況の調査が完了し、安全な環境が確保できたら、あらかじめ策定しておいた事業継続計画（BCP）に基づき、システムの復旧と業務の再開を進めます。事業の停止期間が長引くほど、経営へのダメージは深刻になります。

システム復旧の基本プロセス

攻撃の影響を受けない、隔離されたクリーンなネットワーク環境を準備する。
安全性が確認されたバックアップデータを用いて、基幹システムから順次データを復元する。
復元したシステムに、攻撃者が仕掛けた不正プログラム（バックドアなど）が残存していないか徹底的に検査する。
全てのユーザーアカウントのパスワードをリセットし、セキュリティ監視を強化した上で、段階的にシステムを再稼働させる。

単に元に戻すだけでなく、同じ攻撃を二度と受けないための抜本的な対策を講じながら、安全に事業を回復させることが重要です。

信頼を損なわないための対外コミュニケーション

インシデント発生時は、顧客、取引先、監督官庁、社会全体に対し、透明性を持って正確な情報を適時開示する責務があります。不誠実な対応は、システム障害そのものよりも企業の信用を大きく損なう可能性があります。

対外コミュニケーションのポイント

監督官庁への報告: 個人情報の漏えいが確認された、またはその恐れがある場合、個人情報保護法に基づき、個人情報保護委員会へ速やかに報告する。
本人への通知: 被害を受ける可能性のある顧客や従業員に対し、状況を通知する。
取引先への連絡: 事業停止により影響が及ぶ取引先に対し、現状と復旧の見通しを誠実に説明する。

隠蔽することなく事実を公表し、真摯な対応姿勢を示すことが、ステークホルダーからの信頼を回復するための第一歩です。

ランサムウェア対策のよくある質問

Q. 身代金を支払うとデータは戻りますか？

A. データが戻る保証は一切ありません。 相手は犯罪組織であり、支払いに応じても復号キーが提供されなかったり、提供されたキーが正常に機能しなかったりするケースが多数報告されています。また、一度支払いに応じると、さらなる攻撃の標的になるリスクも高まります。

身代金を支払うべきではない理由

データを復旧できるという保証が全くない。
復旧できても一部のみであったり、データが破損していたりする場合がある。
「支払いに応じる企業」と認識され、再び標的になるリスクが高まる。
支払った金銭が犯罪組織の活動資金となり、さらなる被害を助長する。

警察をはじめとする公的機関も、身代金の支払いには絶対に応じないよう強く呼びかけています。

Q. バックアップがあれば万全ですか？

A. 単にバックアップがあるだけでは万全とは言えません。 近年の攻撃者は、システムの復旧を妨害するため、ネットワークに接続されたバックアップデータも同時に破壊または暗号化します。また、バックアップからデータを復元できても、情報漏えいを防ぐことはできません。

バックアップだけでは不十分な理由

バックアップ自体が攻撃対象となる: ネットワークから隔離されていないバックアップは、本体のシステムと一緒に暗号化される危険性が高い。
二重脅迫には対応できない: データを自力で復旧できても、窃取された情報がインターネットで公開される脅威は残る。

バックアップは、オフライン保管などの厳格な運用と、他のセキュリティ対策を組み合わせることで初めて有効な手段となります。

Q. 中小企業も標的になりますか？

A. はい、企業の規模に関わらず、中小企業も明確な標的です。 警察庁の統計では、ランサムウェア被害の過半数を中小企業が占めています。対策に多くのリソースを割けない中小企業は、攻撃者にとって格好の標的と見なされる傾向があります。

中小企業が標的となる主な理由

セキュリティ対策が不十分な場合が多く、攻撃を成功させやすいと判断されるため。
大企業への侵入経路として、取引関係にあるセキュリティの手薄な中小企業が「踏み台」として狙われるため（サプライチェーン攻撃）。

「自社は狙われない」という思い込みは非常に危険です。事業規模にかかわらず、基本的な対策を確実に実施することが不可欠です。

Q. 警察に相談するメリットは何ですか？

A. 警察に相談することで、専門的な知見に基づく有益な支援を得られます。被害を自社だけで抱え込まず、早い段階で各都道府県警察のサイバー犯罪相談窓口へ連絡することが推奨されます。

警察に相談する主なメリット

専門的な助言: 最新の攻撃手口や類似の被害事例に基づいた、初動対応や復旧に関するアドバイスを受けられる。
復号ツールの情報提供: 攻撃グループによっては、法執行機関が開発・入手したデータの復号ツールが提供される可能性がある。
捜査による全容解明: 捜査への協力が、攻撃グループの特定や、社会全体の被害拡大防止に繋がる。
対外的な説明責任: 「警察と連携して対応している」と公表することで、ステークホルダーに対して真摯な対応姿勢を示すことができる。

まとめ：ランサムウェア被害を防ぐための網羅的対策と事後対応

ランサムウェアから企業を守るためには、技術的な防御策と組織的な体制整備を組み合わせた多層的なアプローチが不可欠です。特に、データを人質に取る「二重脅迫」が主流である現在、ネットワークから隔離した安全なバックアップの確保は事業継続の生命線となります。まずは自社のセキュリティ対策状況を本記事の項目に沿って点検し、脆弱な点がないかを確認することから始めましょう。万が一感染が疑われる事態が発生した際は、身代金には応じず、自社だけで抱え込まずに速やかにセキュリティ専門家や警察などの外部機関へ相談することが、被害を最小限に抑える鍵となります。日頃からの備えと、有事の際の冷静な対応が事業を守るために重要です。